DCToolbox: un enfoque sencillo para implementar políticas de acceso condicional

Cuando se trata de políticas de acceso condicional en Microsoft 365, la tarea no es un paseo por el parque para los administradores; ¡Es una tarea crítica! Si bien nuestra principal preocupación es proteger nuestros datos con estas políticas, es igualmente importante configurarlas correctamente sin interrumpir el acceso de los usuarios, las aplicaciones, las ubicaciones y más. A pesar de nuestras mejores intenciones, ¡abordar esta tarea puede llevar mucho tiempo! ¡Pero saltarse las políticas de acceso condicional no es la elección correcta! Debemos desplegarlos para proteger nuestra organización, ya que no existen alternativas adecuadas.

¿Qué pasaría si pudiera implementar políticas de acceso condicional en tan solo unos minutos? Es como encontrar un tesoro escondido pero ¿adivinen qué? ¡Realmente lo tenemos! ??

Daniel Chronlund, MVP de Microsoft, presenta su innovadora solución: DCToolbox. Con él, simplifica el complejo proceso de configuración de políticas críticas de acceso condicional, brindando a su organización seguridad de primer nivel.

Un único cmdlet, “Deploy-DCConditionalAccessBaselinePoC”, de DCToolbox proporciona a los administradores de Microsoft 365 la capacidad de implementar rápidamente políticas de acceso condicional ? . La herramienta ofrece los siguientes beneficios:

Implementación de 18 políticas esenciales de acceso condicional (DCToolbox incluye políticas importantes como el bloqueo de usuarios de alto riesgo, la exigencia de MFA para registros de dispositivos desde redes no corporativas y la desactivación de la persistencia de tokens para cuentas de administrador).
¡Tiempos de configuración más cortos que tu pausa para el café!
Implementación de políticas de acceso condicional en modo de solo informe, lo que permite realizar pruebas y ajustes sin riesgos.

Profundicemos en la guía paso a paso para implementar fácilmente políticas de acceso condicional a través de DCToolbox para sus necesidades de ciberseguridad.

Requisitos previos para utilizar DCToolbox

Antes de implementar el diseño de prueba de concepto de acceso condicional con DCToolbox en su inquilino de Microsoft 365, asegúrese de cumplir con los siguientes requisitos previos:

1. Instale PowerShell 7 en Windows:

El "Deploy-DCConditionalAccessBaselinePoC" cmdlet del módulo DCToolbox requiere una versión mínima de PowerShell 7. Quizás estés pensando en "cómo instalar PowerShell 7", pero la respuesta a ¡La pregunta es muy simple! Entonces, siga los pasos a continuación para instalar PowerShell 7 en Windows.

Ejecute el siguiente cmdlet en Windows PowerShell para comprobar la última versión de PowerShell.
PowerShell
```
winget search Microsoft.PowerShell
```
Luego, ejecute el siguiente cmdlet para instalar la última versión de PowerShell.
PowerShell
```
winget install --id Microsoft.Powershell --source winget
```

2. Función de administrador global de M365:

Debe ejecutar DCToolbox con permisos de administrador global para aceptar los permisos requeridos durante la autenticación. Estos permisos permiten que DCToolbox acceda a los datos de la organización a través de MS Graph PowerShell.

Políticas básicas de acceso condicional: DCToolbox

DCToolbox es un centro central para las herramientas de automatización de acceso condicional de Daniel, las funciones de PowerShell Graph y más. Sin embargo, antes de implementar la automatización de políticas de acceso condicional, es importante comprender las acciones que se realizan cuando “Deploy-DCConditionalAccessBaselinePoC ” se ejecuta correctamente.

18 políticas de acceso condicional: diseñadas para administrar y controlar el acceso de usuarios, el acceso de invitados, el uso de aplicaciones, el acceso desde países específicos y más.
De estas 18 políticas, 16 políticas están en modo de solo informe. Los dos restantes están apagados.

- Una es una política de muestra y la otra es una política que requiere el cumplimiento del dispositivo.
- Dado que el cumplimiento del dispositivo no admite el modo de solo informe, se implementará en el estado desactivado.

Consideración del experto: Según Daniel, estas 18 políticas básicas de acceso condicional ha protegido a cientos de miles de usuarios durante más de cuatro años. Por lo tanto, las organizaciones pueden utilizarlos de manera efectiva para elevar sus medidas de seguridad ?.

Deploy-DCConditionalAccessBaselinePoC: aspectos destacados del cmdlet

El cmdlet “Deploy-DCConditionalAccessBaselinePoC ” ofrece los siguientes beneficios clave dentro del módulo DCToolbox PowerShell.

El cmdlet comprueba la presencia del módulo Microsoft Graph PowerShell y lo instala si no se encuentra en su PC.
Le solicitará automáticamente sus credenciales de administrador global de Microsoft 365 para conectarse a Microsoft Graph PowerShell.
Crea recientemente un grupo para cuentas rompecristales y le agrega al administrador que actualmente está trabajando con DCToolbox.
El cmdlet crea por separado un grupo de cuentas de servicio para identidades no humanas (identidades que representan cargas de trabajo de software, computadoras, dispositivos móviles, sensores de IoT y más) en Entra ID.
Crea una ubicación con nombre en las políticas de CA para sus direcciones IP corporativas y agrega automáticamente su dirección IP pública actual a la lista.
Crea una ubicación con nombre para algunos países permitidos, ya que el desarrollador agregó algunos países en los que tiende a trabajar como ejemplos.
Carga una plantilla de Términos de uso para políticas de CA en inglés.

Configurar la PoC de acceso condicional de Entra ID con DCToolbox

Para implementar el conjunto completo de políticas de acceso condicional en su inquilino utilizando DCToolbox, siga los pasos a continuación:

Instalar el módulo DCToolbox: Primero, instale el módulo DCToolbox en PowerShell 7 core usando el siguiente cmdlet.
PowerShell
```
Install-Module -Name DCToolbox
```
Actualice el módulo DCToolbox: Si ya instaló este módulo, simplemente ejecute el mismo cmdlet anterior con el parámetro ‘Force’.
PowerShell
```
Install-Module -Name DCToolbox -Force
```
Ejecute el cmdlet: A continuación, ejecute el cmdlet de PowerShell a continuación que implementa la prueba de concepto de acceso condicional completo de Entra ID. Este cmdlet se conecta automáticamente a MS Graph PowerShell e implementa la lista de las 18 políticas que se configurarán. También crea los grupos, los términos de uso y las ubicaciones con nombre necesarios para las 18 políticas. ¡Todo el proceso finalizará en unos minutos!
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC
```
2. Sin embargo, es importante tener en cuenta que una vez que haya implementado las políticas de CA sin nombres personalizados, no podrá cambiarles el nombre utilizando estos parámetros. Intentar hacerlo resultará en la creación de un nuevo conjunto de 18 políticas con diferentes nombres de dependencias.
Inicie sesión como administrador global: Al ejecutarse, solicita los detalles de la credencial de administrador en el navegador. Inicie sesión con las credenciales de administrador global.
Otorgar permisos: Después de una autenticación exitosa, se deben otorgar permisos para acceder y modificar datos de usuarios, aplicaciones, políticas y grupos. Entonces, haga clic en el botón 'Aceptar' para continuar. Esta acción permite que el cmdlet acceda y administre recursos de Microsoft Graph, como usuarios, grupos y aplicaciones.
Implementación de políticas de CA: Finalmente, las 18 políticas básicas de acceso condicional comenzarán a implementarse en su inquilino en el modo de solo lectura. Estas políticas están diseñadas para proporcionar un nivel básico de seguridad para los recursos de su organización.

Una vez que el cmdlet “Deploy-DCConditionalAccessBaselinePoC ” haya completado su ejecución, su organización tendrá establecido un conjunto básico de políticas de acceso condicional. Luego puede personalizar las políticas implementadas para alinearlas con los requisitos específicos de su organización.

Supervisar y gestionar políticas de acceso condicional implementadas con DCToolbox

El estado de las políticas de acceso condicional se establecerá en modo "solo informe", por lo que es esencial revisarlas y activarlas en el entorno de Entra ID. Simplemente siga la ruta a continuación para acceder a las políticas de CA configuradas:

Centro de administración de Microsoft Entra → Protección → Acceso condicional → Políticas

Aquí encontrará una tabla que enumera las políticas configuradas en Entra ID.

Las Las políticas que comienzan con “GLOBAL…” se configuran a través de DCToolbox. Estas políticas de DCToolbox CA se clasifican en tres sesiones: Políticas de bloqueo, Políticas de concesión y Políticas de sesión.

Políticas de bloqueo: esta categoría consta de 8 políticas que se centran en evitar el acceso no autorizado a los recursos de su organización en condiciones específicas. Estas políticas tienen como objetivo proteger de forma proactiva los datos confidenciales y mitigar amenazas potenciales.
Políticas de concesión: esta sección contiene siete políticas centradas en el aprovisionamiento de acceso, que controla el acceso de los usuarios a los recursos de la nube en función de condiciones específicas. Esto puede resultar útil para controlar el acceso de los usuarios y otorgarles datos y recursos a su organización.
Políticas de sesión: La categoría de política de sesión abarca 2 políticas que controlan las sesiones activas, determinando factores como la persistencia de tokens y las descargas de archivos en dispositivos administrados y no administrados.

Mientras las políticas se implementan en modo de solo informe, puede supervisar los cambios en las políticas de CA a través de Microsoft Entra ID utilizando registros de inicio de sesión, registros de auditoría, libros de trabajo de informes y más. Después de analizar estas políticas utilizando los métodos descritos anteriormente, obtendrá información sobre sus impactos y efectividad en su entorno. Según estos resultados, puede habilitar selectivamente las políticas en su organización una por una.

La siguiente tabla presenta 18 políticas de Acceso Condicional con una pequeña descripción configuradas a través de DCToolbox.

Política de ejemplo

CUSTOM - GRANT - Example: Un ejemplo de política para desviaciones de las políticas globales. Un grupo de usuarios con la política de ejemplo de concesión personalizada se puede excluir de las políticas globales.

Políticas de bloqueo

GLOBAL - BLOCK - Legacy Authentication: Bloquea protocolos heredados inseguros como ActiveSync e IMAP.
GLOBAL - BLOCK - Legacy Authentication: Bloquea protocolos heredados inseguros como ActiveSync e IMAP.
GLOBAL - BLOCK - Unsupported Device Platforms: Bloquea plataformas de dispositivos no compatibles como Linux.
GLOBAL - BLOCK - Countries not Allowed: Bloquea conexiones de países que no están en la lista blanca.
GLOBAL - BLOCK - Service Accounts (Trusted Locations Excluded): Bloquea cuentas de servicio de direcciones IP que no son de confianza.
GLOBAL - BLOCK - Explicitly Blocked Cloud Apps: Bloquea explícitamente ciertas aplicaciones en la nube.
GLOBAL - BLOCK - Guest Access to Sensitive Apps: Bloquea el acceso de invitados a aplicaciones confidenciales.
GLOBAL - BLOCK - High-Risk Sign-Ins: Bloquea las autenticaciones de alto riesgo detectadas por Entra ID Protection.
GLOBAL - BLOCK - High-Risk Users: Aplica MFA en autenticaciones de riesgo medio.

Políticas de subvenciones

GLOBAL - GRANT - Medium-Risk Sign-Ins: Aplica MFA en autenticaciones de riesgo medio.
GLOBAL - GRANT - Medium-Risk Users: Aplica MFA a usuarios de riesgo medio.
GLOBAL - GRANT - Device Registration: Aplica MFA para registros de dispositivos desde redes no corporativas.
GLOBAL - GRANT - Terms of Use: Requiere que los usuarios acepten las políticas de términos de uso.
GLOBAL - GRANT - MFA for All Users: Protege todas las autenticaciones de usuarios con MFA.
GLOBAL - GRANT - Mobile Apps and Desktop Clients: Requiere que las aplicaciones móviles y los clientes de escritorio sean compatibles con Intune.
GLOBAL - GRANT - Mobile Device Access Requirements: Requiere que las aplicaciones estén protegidas por directivas de protección de aplicaciones de Intune.

Políticas de sesión

GLOBAL - SESSION - Admin Persistence: Deshabilita la persistencia de tokens para cuentas de administrador.
GLOBAL - SESSION - Block File Downloads On Unmanaged Devices: Bloquea las descargas de archivos en dispositivos no administrados.

Operaciones avanzadas con diferentes parámetros de PowerShell

Agregar parámetros específicos con el cmdlet “Deploy-DCConditionalAccessBaselinePoC ” puede realizar algunas acciones avanzadas con la creación de políticas de referencia.

Agregar prefijo a los nombres de las políticas de CA

Para agregar un prefijo con el nombre de la política, use el parámetro 'AddCustomPrefix' con el cmdlet. El prefijo con el nombre de la política ayuda a identificar que la política se crea mediante DCToolbox. Esto facilita la diferenciación de las políticas existentes.

Deploy-DCConditionalAccessBaselinePoC -AddCustomPrefix <CustomPrefixThatYouWishToUpdate>

Usar nombres personalizados para grupos y ubicaciones con nombre

La herramienta crea automáticamente grupos y ubicaciones con nombre con un nombre predeterminado predefinido. Para crear aquellos con otros nombres o vincularlos con los existentes, ejecute cualquiera de los siguientes cmdlets según sus necesidades.

Para un grupo de exclusión de rotura de vidrio, puede vincularlo a un grupo existente o puede especificar un nombre para crear un nuevo grupo usando el parámetro 'ExcludeGroupDisplayName'.
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC -ExcludeGroupDisplayName <GroupNameThatYouWishToUpdate>
```
Por cierto, puede utilizar el parámetro 'ServiceAccountGroupDisplayName' para los grupos de cuentas de servicio como se muestra a continuación.
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC -ServiceAccountGroupDisplayName <GroupNameThatYouWishToUpdate>
```
Para establecer un nombre personalizado para las ubicaciones con nombre de la red corporativa, utilice el parámetro 'NamedLocationCorpNetwork'.
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC -NamedLocationCorpNetwork <CustomNameforCorpNetworkList>
```
Para establecer un nombre personalizado para las ubicaciones con nombre del país permitido, utilice el parámetro 'NamedLocationAllowedCountries'.
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC -NamedLocationAllowedCountries <CustomNameforAllowedCountriesList>
```

Usar los términos de uso existentes

Para utilizar los términos de uso existentes para las políticas de CA de DCToolbox, utilice el parámetro 'TermsOfUseName'.

Deploy-DCConditionalAccessBaselinePoC -TermsOfUseName <ExistingTermsName>

Omitir políticas de acceso condicional

Para omitir algunas de las políticas de CA básicas de la lista de 18, puede utilizar el parámetro 'SkipPolicies'.

Deploy-DCConditionalAccessBaselinePoC -SkipPolicies <DCToolboxCAPolicyNamesSeparatedByComma>

Aplicar directamente la política de acceso condicional

Para omitir el modo de solo informe y aplicar las políticas de CA directamente, use el parámetro ‘SkipReportOnlyMode’.

Deploy-DCConditionalAccessBaselinePoC -SkipReportOnlyMode #Not Recommended!

Advertencia: ¡No se recomienda esta aplicación directa! Cualquier configuración incorrecta en las políticas puede interrumpir inmediatamente el acceso de los usuarios a recursos críticos, lo que provocaría posibles interrupciones del negocio. Es posible que a los usuarios se les niegue el acceso a aplicaciones y datos, lo que afecta su productividad y causa frustración. Es por eso que siempre se recomienda probar la política con el modo de solo informe antes de habilitarla para su uso normal.

Script de PowerShell para personalizar los nombres de dependencia de las políticas de CA de DCToolbox

Además de los parámetros anteriores con los cmdlets, puede generar y utilizar una secuencia de comandos como la siguiente para aplicar diferentes nombres a las dependencias. Esta metodología ayuda a los administradores de Microsoft 365 a incorporar los parámetros mencionados anteriormente en una sola ejecución.

$Parameters = @{ 
ExcludeGroupDisplayName = 'Excluded from Conditional Access' 
ServiceAccountGroupDisplayName = 'Conditional Access Service Accounts' 
NamedLocationCorpNetwork = 'Corporate Network' 
NamedLocationAllowedCountries = 'Allowed Countries' 
TermsOfUseName = 'Terms of Use' 
} 
Deploy-DCConditionalAccessBaselinePoC @Parameters

Pensamientos finales

En solo cuestión de minutos, los administradores de M365 pueden crear políticas de acceso condicional completamente funcionales sin necesidad de configurarlas individualmente. Este enfoque está diseñado para administradores, aquellos que aprecian el valor del tiempo y la seguridad, proporcionando una solución automatizada y optimizada.

Felicitaciones al profesional más valioso, Daniel Chronlund por su maravilloso trabajo ? .

Esperamos que este blog ayude a los administradores de M365 a implementar políticas de acceso condicional en su dominio. No dudes en dejar tu opinión en la sección de comentarios. ¡Estén atentos para obtener más información ?!